פגיעות קריטית ב-PolKit המאפשרת גישה לשורש ברוב ההפצות של לינוקס

Qualys זיהתה פגיעות (CVE-2021-4034) ברכיב המערכת Polkit (לשעבר PolicyKit) המשמש בהפצות כדי לאפשר למשתמשים חסרי הרשאות לבצע פעולות הדורשות זכויות גישה מוגברות. הפגיעות מאפשרת למשתמש מקומי חסר הרשאות להסלים את ההרשאות שלו ל-root ולקבל שליטה מלאה על המערכת. הבעיה קיבלה את שם הקוד PwnKit והיא בולטת בייצור ניצול עובד שפועל בתצורת ברירת המחדל ברוב ההפצות של לינוקס.

הבעיה קיימת בכלי השירות pkexec של PolKit, שמגיע עם דגל השורש של SUID ונועד להריץ פקודות עם הרשאות של משתמש אחר בהתאם לכללי PolKit שצוינו. עקב טיפול שגוי בארגומנטים של שורת הפקודה שהועברו ל-pkexec, משתמש חסר הרשאות יכול לעקוף את האימות ולהריץ את הקוד שלו כ-root, ללא קשר לכללי הגישה שנקבעו. עבור התקפה, זה לא משנה אילו הגדרות והגבלות מצוינות ב-PolKit, מספיק שתכונת השורש SUID מוגדרת עבור קובץ ההפעלה עם כלי השירות pkexec.

Pkexec אינו בודק את תקפות ספירת הארגומנטים של שורת הפקודה (argc) שהועברה בעת התחלת תהליך. המפתחים של pkexec הניחו שהערך הראשון במערך argv מכיל תמיד את שם התהליך (pkexec), והשני או ערך NULL או את שם הפקודה המופעלת באמצעות pkexec. מכיוון שספירת הארגומנטים לא נבדקה מול התוכן האמיתי של המערך והנחה היא שהיא תמיד גדולה מ-1, אם תהליך עבר מערך argv ריק, כפי שמאפשרת פונקציית Linux execve, pkexec יתייחס ל-NULL כארגומנט הראשון ( שם התהליך) והבא כמו מחוץ לזיכרון המאגר, כמו התוכן הבא של המערך. |———+———+——+————|———+———+——+————| | argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| VVVVVV "תוכנית" "-אופציה" NULL "ערך" "PATH=שם" NULL

הבעיה היא שאחרי מערך argv יש מערך envp בזיכרון המכיל משתני סביבה. לפיכך, אם מערך argv ריק, pkexec מחלץ נתונים על הפקודה עם הרשאות גבוהות מהאלמנט הראשון של המערך עם משתני סביבה (argv[1] הפך זהה ל-envp[0]), שתוכנם ניתן לשלוט על ידי התוקף.

לאחר קבלת הערך של argv[1], pkexec מנסה, תוך התחשבות בנתיבי הקובץ ב-PATH, לקבוע את הנתיב המלא לקובץ ההפעלה וכותבת מצביע למחרוזת עם הנתיב המלא בחזרה ל-argv[1], אשר מוביל להחלפת הערך של משתנה הסביבה הראשון, שכן argv[1] זהה ל-envp[0]. על ידי מניפולציה של השם של משתנה הסביבה הראשון, תוקף יכול להחליף משתנה סביבה אחר ב-pkexec, למשל, להחליף את משתנה הסביבה "LD_PRELOAD", שאינו מותר בתוכניות suid, ולארגן את טעינת הספרייה המשותפת שלהם ל- תהליך.

ניצול העבודה כולל החלפת המשתנה GCONV_PATH, המשמש לקביעת הנתיב לספריית ההמרה של הסמלים, הנטען באופן דינמי בעת קריאה לפונקציה g_printerr(), שהקוד שלה משתמש ב- iconv_open(). על ידי הגדרה מחדש של הנתיב ב-GCONV_PATH, תוקף יכול להבטיח שזו לא ספריית iconv הסטנדרטית שנטענת, אלא ספריה משלו, שהמטפלים ממנה יבוצעו כאשר הודעת שגיאה מוצגת בשלב שבו pkexec עדיין פועל עם זכויות השורש ולפני ההשקה נבדקות.

יצוין כי למרות העובדה שהבעיה נגרמת כתוצאה משחיתות זיכרון, ניתן לנצל אותה באופן אמין וחזור ללא קשר לארכיטקטורת החומרה שבה נעשה שימוש. הניצול המוכן נבדק בהצלחה באובונטו, דביאן, פדורה ו-CentOS, אך ניתן להשתמש בו גם בהפצות אחרות. הניצול המקורי עדיין לא זמין לציבור, מה שמצביע על כך שהוא טריוויאלי וניתן לשחזר אותו בקלות על ידי חוקרים אחרים, ולכן חשוב להתקין את עדכון התיקון בהקדם האפשרי במערכות מרובות משתמשים. Polkit זמין גם עבור מערכות BSD ו- Solaris, אך לא נחקר לשימוש בהן. מה שידוע הוא שלא ניתן לבצע את ההתקפה ב-OpenBSD, מאחר הליבה של OpenBSD אינה מאפשרת להעביר ערך null argc כאשר קוראים execve() .

הבעיה קיימת מאז מאי 2009, מאז הוספת הפקודה pkexec. התיקון לפגיעות של PolKit זמין כעת כתיקון (לא שוחררה מהדורת תיקון), אך מכיוון שמפתחי הפצה קיבלו הודעה על הבעיה מראש, רוב ההפצות פרסמו את העדכון במקביל לחשיפת המידע על הפגיעות. הבעיה תוקנה ב-RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux ומנג'רו. כאמצעי זמני לחסימת הפגיעות, אתה יכול להסיר את דגל השורש של SUID מהתוכנית /usr/bin/pkexec ("chmod 0755 /usr/bin/pkexec").

מקור: OpenNet.ru